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(54) Ausfallslcfieres Bussystem 

(57) Gegenstand der Erfindung ist ein serielles Bus- 
system mit zwei Datenleitungen (10, 12). an die an 
einem Ende ein zentraier Busteilnehmer (14) und am 
anderen Ende ein aktiver Busteilnehmer (16) ange- 
schlossen sind. Der zentrale und der aktive Busteilneh- 
mer senden Statusmeldungen auf den Bus (10. 12). von 
denen die Busleitungen in den Busteilnehmern (18. 20) 



zwischen den betden Enden physisch durchgeschleift 
sind. Bei Ausblelben der Statusmeldungen Oder Fehler 
anzeigenden Statusmeldungen versetzt der zentrale 
Busteilnehmer (14) das Bussystem in einen Fail-Safe- 
Zustand. 
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Beschreibung 

Die Erfindung bezieht sich auf ein Bussystem. 

Busse verbinden uber elektrische Ubertragungslei- 
tungen Teilnehmer miteinander. Die Anschlussstellen 
der Busteilnehmer sind an beliebigen Orten Idngs der 
Ubertragungsleitungen angeordnet Die Qbertragungs- 
leitung eines seriellen Busses kann eine verdrillte Zwei- 
drahtleitung oder eine Kbaxialleitung sein. Busse haben 
einen erheblichen Kostenvorteil gegenuber konventio- 
neller Verdrahtungstechnik und eine Vielfalt an zentral 
verlOgbaren Information en sowie Flexibiiitat. Serielle 
Busse sind beispielsweise unter der Bezeichnung Profi- 
bus. BHbus usw. bekannt. Die Teilnehmer sind z.B. Ein- 
. Ausgabemcxjule fur Sensorsignale und/oder Steilele- 
mente bzw. Aktoren. 

For die Obertragung sicherheitsgerichteter Signale 
k6nnen nur Busse bzw. Bussysteme eingesetzt werden. 
die fehlertolerant bzw. redundant aufgebaut sind. 
Sicherheitsgerichtete Signale sind solche. die sicher- 
hertstechnische Zwecke oder Auflagen erfutlen, um 
gefahrliche ZustAnde fur Personen oder SchSden durch 
eiektrische Ausrustungen zu vermeiden bzw. rasch zu 
beseitigen. Ein redundantes Datenbussystem. das 
sichertieitstechnischen Anforderungen genugt. ist aus 
der DE-Z. messen prufen automatisieren. 10/95. Seite 
10. 12 • 14 und 16 bekannt. Bei diesem bekannten 
Datenbussystem sind ein fehlersicherer Automatisie- 
rungsprozessor und Teilnehmer Qber zwei Busschnitt' 
stellen miteinander verbunden. Der fehlersichere 
Automatisierungsprozessor besteht aus zwei Prozes- 
sorsystemen. jeweils mit eigenem Mikroprozessor. 
Speicher und Systembus. Die beiden Prozessorsy- 
steme bearbeiten taktsynchron das gleiche Programm. 
Ein in bestimmten Zeitintervallen auf einwandfreie 
Funktion QberprOfter Vergleicher Qbenwacht die beiden 
Prozessorsysteme. Wird ein Fehler in einem Prozessor- 
system festgestellt, werden die Ausgdnge aller Teilneh- 
mer auf ein definiertes Signal etngesteilt, was das 
Versetzen aller von den Teilnehmern gesteuerten Akto- 
ren in einen vorbestimmten Sicherheitszustand bewirkt. 
Die fehlersicheren Automatisierungsprozessoren sind 
uber zwei Automatisierungsprozessoren mit einem 
Aniagenbus verbunden. Von den beiden Automatisie- 
rungsprozessoren, die jeweils gleiche Komponenten 
aufweisen, muss nur einer funktionstuchtig sein. Die 
Automatisierungsprozessoren arbeiten im Master- 
Reserve-Betrieb. Um einen Fehler im System sicher zu 
erkennen, werden neben Selbsttests die Kommunikati- 
onsverbindungen und weitere Hardwarekonrponernen 
zykiisch gepruft. Im Fehlerfall wird der defekte Automa- 
tisierungsprozessor in einen definierten Stop-Zustand 
versetzt. 

Eine Systemabschaitung aufgrund eines festge- 
stetlten Fehlers bedeutet. dass die Maschinen. Ferti- 
gungsanlagen und dhnliches in einen fur Personen 
ungefdhrlichen Zustand versetzt werden. Ein Fehler 
muss innerhalb einer Fehlerreaktionszeit von zum Bel- 



spiel 20 ms erkannt werden; und innerhalb dieser Zeit 
muss auch die Not-Abschaltung der elektrischen AusrO- 
stung erfolgen. 

Eine voltstdndig doppelte Busausfuhrung erfordert 

5 nicht nur die doppelte zwelkanalige Austuhrung der 
Bus-Module fur die Sensoren sowie 2 Bus-Master zur 
SystemOberwachung und fehlersicherer Abschaltung. 
sondem auch die Verlegung zweier unabhdngiger Lei- 
tungssysteme. Durch die doppelte Busausfuhrung wifd 

10 ein entscheidender Vorteil eines Bussystems gegen- 
Ober herkdmmlicher Einzelverdrahtung zum Beispiel 
jedes Sensorschalters teilweise wieder zunichte 
gemacht Man kann den doppelten Lertungsaufwand 
vermeiden. indem man eine einzelne Busleitung 

75 zwangsdynamistert Man spricht in diesem Fall von 
dynamischer Redundanz, ein bereits bekanntes Verfah- 
ren. Die Dynamisierung bedeutet. dass alle Bus- 
Module st&ndig zykiisch auf FunktionstQchtigkeit und 
Meldezustarxi von dem auswertenden Master abge- 

20 fragt werden (Master- Slave-System) oder sich selbstSn- 
dtg regelmdBig melden (Muiti- Master-System). 

Bei MuHi-Master-Bussystemen kdnnen sich die 
Bus-Module (z.B. bei Schalter-Betdtigung) sofort, d.h. 
im ^sec-Bereich selbstdndig melden (sog. Echtzeitfd- 

25 higkeit). so dass fur die sicherheitstechnische Ubenwa- 
Chung einer Aniage keine stdndige Modulabfrage nOtig 
ware. Um jedoch auch einen Fehler im Qbenwachenden 
Bussystem setbst. z.B. den Ausfall eines Bus-Modules 
innertialb der Fehletreaktionszeit (z.B. 20 nrs s.o.) zu 

30 erkennen. uberpuft man alle Bus-Module-Teilnehmer in 
diesem Zeitraum je mindestens 1 x auf ihren Funktions- 
Zustand. Da zur GewShrleistung einer hohen Daten- 
ubertragungssicherheit (Hamming-Distanz 4) die Mel- 
dungen jeweils aus umfangreichen Datenprotokollen 

35 bestehen (50 ... 80 bit), bedeutet diese Dynamisierung 
somit einen mit der TeilnehmerzaN proportional stei- 
genden Datenfluss (DatenObertragungsrate) zur 
System-Obenwachung. 

Andererseits ist die DatenObertragungsrate eines 

40 Bussystems wegen der Signallaufzeiten (Leitungs- 
lange) sowie der Modul-Reaktionszeiten (Teilnehmer- 
zahl) begrenzt. 

Es besteht also ein Konflikt zwischen dem Wunsch 
nach grOBeren LeitungslSngen (z.B. 100 ... 300 m) und 

45 vielen Busteilnehmern z.B. 50 ... 100 auf der einen 
Seite sowie dem technischen Aufwand zur Obertragung 
und Auswertung hOherer DatenObertragungsraten 
(typisch 125 ... 1000 k bit/s) andererseits. 

Zur Venringerung der DatenObertragungsrate bietet 

so sich die Mdglichkeit an, die Bus-Module, die in einem 
Sicherheitsbus ohnehin doppelt (zweikanalig/redun- 
dant) vorgesehen sind, sch gegenseitig paarweise auf 
fehlerfreie Funktion uberwachen zu lassen, so dass nur 
bei intemer Differenz ein Teilnehmer eines Bus-Modul- 

55 Paares eine Bus-Fehler-Meldung abgeben muss. Die- 
ses Verfahren setzt aber voraus. dass die Busleitung 
zwischen dem auswertenden Master und jedem Modul 
jederzot fehlerfrei und voll f unktionsfdhig ist. Da die Lei- 
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tung nicht doppeft und rSumlich getrennt ausgefOhrt 
sein soil, muss die Leitung selbst dynamisch uberprOft 
werden. und zwar bis zu alien Busteilnehmern. Ein Lei- 
tungsfehler muss innerhalb der Fehlertoleranzzeit 
erkannt werden. Die zyWische OberprOfung aller Bus- $ 
teilnehmer ertordert wegen des hohen Datenubertra- 
gungsaufwands eine so groBe ZeK da6 die notwendige 
Fehlerreaktronszelt nicht mehr eingehalten bzw. unter- 
schrrtten werden kann. 

Bekannt ist auch ein lokales NelzwerK bei dem aus 10 
Redundanzgrunden zwei serielle Bussysteme vorgese- 
hen sind. an die Netzknoten angeschlossen sind. Jeder 
Neuknoten ist durch zwei getrennte Ankopplungen mit 
den beiden Bussen verbunden. In einem der Bussy- 
steme werden im fehlerfreien Betrieb Prozessdaten 15 
ubertragen und im anderen Bussystem Statusinforma- 
tionen. Jede Ankopplung enthait wenigstens einen 
Kommunikations-Controller, eine Kbmmunikations-CPU 
und einen Transceiver. Jede Kbmmunikations-CPU 
ubenvacht in einem Netzknoten die Funktionsfahigkeit 20 
der anderen Kommunikations-CPU und erfOIItdie Funk- 
tion eines Watchdog-Prozessors. Leitungsfehler sowie 
Fehlfunktionen von Kommunikations-Contrdlem wirken 
sich ais VerfSlschung von Busnachrichten aus und wer- 
den durch Fehlererkennungsmechanismen entdeckt. 25 
Fehler. die in den Komponenten zwischen Bus und 
Kommunikations-CPU auftreten. werden durch eine 
zyWische Funktionsuberwachung der Komponenten 
festgestellt. Jeder Bus wird im Fehlertall als Watchdog- 
bus benutzt, um im jeweils anderen Bussystem aufge- 30 
tretene Fehler den Netzteilnehmern mitzuteOen. Bei 
einem Fehler in demjenigen Bus, in dem die Prozessda- 
ten Qbertragen werden, wird der Bus gespem und der 
Prozessdatenverkehr wird uber den anderen Bus abge- 
wickelt(DE 195 09 558 A1). 35 

Der Erf Indung liegt das Problem zugrunde. ein Bus- 
system berertzustellen. das bei geringem Aufwand fur 
sicherheitsgerichtete Signale und zahlreiche Busteil- 
nehmer sowie grolJe Busleitungsldngen geeignet ist 
und bei einem Fehler eine kurze Reaktlonszeit aufweist. 4o 
wobei mIt einfachen Maflnahmen OberprOft werden soil, 
ob ein Leitungsfehler vorllegt. 

Das Problem wird erfindungsgemdB insbesondere 
geldst durch ein Bussystem umfassend einen ein Uber- 
tragungsmedium aufweisenden seriellen Datenbus mrt 45 
an einem Ende vorhandenen ersten aktiven Busteilneh- 
mer und am anderen Ende vorhandenen zweiten akti- 
ven Busteilnehmer sowie von dem Clbertragungs- 
medium physisch durchgeschleifte weitere Busteilneh- 
mer. wobei zumindest der erste aktive Busteilnehmer so 
und/oder der zweite aktive Busteilnehmer jeweils eine 
Anordnung zum regelmaOigen Aussenden und/oder 
Empfangen von Statusmeldungen aufweist. wobei 
zumindest von einem der Busteilnehmer die von einem 
anderen Busteilnehmer ausgehenden Statusmeldun- 55 
gen auf Ausbleiben innerhalb einer vorgegebenen Zeit- 
spanne Oder auf Abweichung von einer einem 
fehlerfreien Zustand des Bussystems zugeordneten 



Form uberpruft werden und wobei dann. wenn der Enp- 
tang der Statusmeldungen innerhalb der vorgegebenen 
Zeitspanne ausWeibt oder Statusmeldungen empfan- 
gen werden. die von einer einen fehlertraen Zustand 
des Bussystems zugeordneten Form abweichen. das 
Bussystem in einen Zustand versetzt wird, der eirl vor- 
gegebenes Sicherheitskriterium erfuDt. 

Bei dem ©lindungsgemdBen Bussystem mussen 
nicht mehr aile Busteilnehmer fur die OberprOfung 
abgefragt werden, da insbesondere die f^dglichkeit 
besteW. dass der zweite aktive Busteilnehmer (Bus- 
Abschlussteilnehmer. Abschluss-Modul) die Uben^va- 
chungsfunktion des Ubertragungsmediums ubernimmt. 
Dieser Vorteil kommt insbesondere bei alien Bussyste- 
men zum Tragen. die mit aktiven Multi-Master-Modulen 
in reijndanter Ausfuhrung arbeiten. obwohl der Bus 
einkanalig sein kann. Der erste aktive zentrale Busteil- 
nehmer bzw. Bus-Master sendet mit sehr hoher Takt- 
rate im Bereich von 10 bis 20 ms uber alle 
Busteilnehmer zum zweiten aktiven Busteilnehmer Sta- 
tusmeldungen und kann mit einer gleich hohen Taktrate 
die Oder soretige geeignete StatusmeWungen bei ein- 
wandfreiem Obertragungsmedium zurticksenden. Alter- 
nativ besteht die MOglichkeit. dass der zweite aktive 
Busteilnehmer unabhangig von vom ersten aktiven Bus- 
teilnehmer ausgehenden Signalen Statusmeldungen 
zum ersten aktiven Busteilnehmer sendet. 

Unabhangig wie die von dem zweiten aktiven Bus- 
teilnehmer gesendeten Statusmeldungen ausgelOst 
werden, kann das Obertragungsmedium auf seinen 
ordnungsgemaBen Zustand OberprOft werden. Das 
Obertragungsmedium kann daher innerhalb der Erst- 
fehlereintrittszeit. die mdglichst kurz zu halten ist, Ober- 
pnuft werden. Die Prufdatenubertragung for den Bus 
findet also im wesentlichen zwischen den Busteilneh- 
mern an den Busleitungsenden statt, so daB die Anzahl 
der Teilnehmer die Zeit, mit der die Prtifdaten den Bus 
durchbufen. nur in einem vernachiassigbaren Umfang 
beeinflusst. Bei dem erfindungsgemaBen Bussystem 
Bind die Busteilnehmer zwischen dem zentralen Busteil- 
nehmer bzw. Busmodul an einem Ende und dem akti- 
ven Busteilnehmer bzw. Busmodul am anderen Ende 
des Busses nicht durch Stichleitungen mit dem Obertra- 
gungsmedium vertxjnden. Das Obertragungsmedium 
weist insbesondere zwei Leitungsadern auf. Hierunter 
ist auch ein Obertragungsmedium mit einer ersten Ader 
und einer leitenden Verbindung ober Masse zu verste- 
hen. die die zweite Ader bildet. Der Bus veriauft also bei 
der erfindungsgemaBen Anordnung vom ersten aktiven 
bzw. zentralen Busteilnehmer bzw. Busmodul. im fol- 
genden auch Bus-Master genannt. durch aile Bus-Teil- 
nehmer im folgenden auch Slaves genannt. physisch 
hindurch und wird am Ende mit dem zweiten aktiven 
Busmodul. auch Abschluss-Modul. versehen. Der Bus 
wird also nur als ein galvanisch von einem zum anderen 
Ende veriaufender Strang ausg^uhrt. Da Stichleitun- 
gen zu den Slaves entfallen. hat der Bus auch einen 
hOheren Wirkungsgrad. 
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Es ist vorgesehen. dass der erste aktive Busleil- 
nehmer die Statusmeldungen des zweiten aktiven Bus- 
teilnehmers uberwacht und umgekehrt und dass die 
weiteren Busteilnehmer die von den anderen Bustel- 
nehmern ausgehenden Statusmeldungen o6er Status- 
meldungen. die von einer einen fehterfreien Zustand 
des Ubertragungsmediums zugeordneten Form at>wei- 
Chen, ubefwachen. 

Vorzugsweise umfassen zumindest einige der Bus- 
teilnehmer 2wei sich gegenseitig uberwachende Einhei- 
ten. 

Es ist zweckmaBig. zumindest einige, vorzugs- 
weise sdnrtliche Busteilnehmer jeweils als Module mit 
zwei Einheiten auszubilden. die an Sensoren und/oder 
Aktoren angeschlossen sind und sich gegenseitig uber- 
wachen. Bel dieser Ausfuhrungsform sind die Busteil- 
nehmer redundant aufgebaut. Durch diesen Atifbau in 
Verbindung mit der Uberwachung muss in den Busteil- 
nehmern nicht mit einem Erstfehler gerechnet werden, 
d.h. diese Busteilnehmer k6nnen sicherheitstechnisch 
grolBzugiger dimensioniert werden. 

Der Bus-Master ist grundsdtzlich das erste Qerdt 
im Strang, das Busabschiuss-Modul grundsdtzlich das 
letzte Germ im Strang. Bus-Master und BusabscHuss- 
Modul haben jeweils nur einen Busanschluss. alle 
anderen Bus-Module jeweils genau einen Busein gang 
und einen Bus ausaanq . 

Der Bus-Master als erstes Gerdt und der Bus- 
Abschluss als letztes GerSt im Strang senden und/oder 
empfangen mit einer hohen Ubertragungsrate (z.B. alle 
10 ms) Statusmeldungen, die vorzugsweise voneinan- 
der unabhdngig sind. Diese werden von alien Busteit- 
nehmern kontrolliert. 

Der zentrale Busteilnehmer ist zweckmdQigerweise 
zweikanalig aufgebaut. Unter zweikanaligem Aufbau ist 
hierbei ein Aufbau aus zwei gleichen Einheiten zu ver- 
stehen. Die zwei gleichen Einheiten haben insbeson- 
dere einen gemeinsamen fehlersicheren Vergleicher, 
der Ausgfinge z.B. zu einer Relaisebene Oder einer 
aquivalent sicheren Abschaltebene aufweist, mit der 
vorzugsweise elektrische Vertsraucher ein- und ausge- 
schaltet werden. Im Palle einer Relaisebene hat diese 
insbesondere zwangsgefOhrte Relais. 

Bei Ausbleiben der Nachrichten oder fehlerhaften 
Meldungen uber eine festgelegte Fehlerloleranzzeit 
hinaus (z.B. 15 ms) muss von einer gestCrten Buslei- 
tung Oder einem defekten Busteilnehmer ausgegangen 
werden. Das System geht dann in einen sicheren 
Zustand uber. 

Das physische Durchschleifen der Busleitung 
beinhaltet einen Fehlerausschluss innerhaib des Bus- 
Modules zwischen Busleitung und zweikanaligem Bus- 
Modul (da kein logisches datenftussmdBiges Durch- 
schleifen vorgesehen ist). Dies wird erreicht durch elek- 
tro-mechanische MaBnahmen: 

Die eingehende Busader der Busleitung ist insbe- 
sondere als wenigstens eine Leiterbahn auf einer Lei- 
terplatte im zweikanalig aufgebauten Busteilnehmer 



ausgebiWet. Die Busleitung ist auf dieser Leiterplatte 
Qber gedtzte, fl&chige Leiterbahn en durchgeschleift. 
Zwecl^GigenMeise sind auf der gleichen Leiterplatte 
zweikanalig ausgefuhrte Bus-Controller- Bausteine vor* 

5 gesehen. die an die Leitert}ahn unmittelbar. aber unab- 
hdngig voreinander Qber kurze Stichleiterbahnen 
angeschlossen sind. Beide Bus-Controller-Bausteine 
ubenwachen sich gegenseitig. Die galvanische Verbin- 
dung in der Busleitung ist so ausgebiidet. daB die 

10 gleichzeitige elektrische Abtrennung beider Bus-Con- 
troller von der durchgeschleiften Busleitung ausge- 
schlossen ist 

Die LeiterbahnfQhrung auf der Leiterplatte ist so 
ausgelegt dass auch bei einem evtl. Ourchbohren der 

IS Leiterplatte ein gleichzeitiges Durchtrennen der Stich- 
leiterbahnen zwischen Bus und beiden Controller aus- 
geschlossen Ist, bzw. bei diesem Vorgang auch die 
durchgeschleifte Busleitung mit zerstdrt wird. 

Dieser Fehler wurde dann innerhaib der Erstfehler- 

20 erkennungszeit von 1 5 ms vom Bussystem erkannt wer- 
den. 

Weitere Einzelheiten, Merkmale und Vorteile der 
Erfindung ergeben sich nicht nur aus den AnsprOchen 
und den diesen zu entnehmenden Merkmalen -fOr sich 
25 und/oder in Kombination-. sondern auch aus der folgen- 
den Beschreibung eines bevorzugten Ausfuhrungsbei- 
spiels. 

Es zeigen: 

30 Rg. 1 ein Blockschaltbild eines seriellen Datenbus- 
Systems, mit dem sicherheitsgerichtete 
Signale Qbertragen bzw. verarbeitet werden, 

Rg. 2 ein Blockschaltbild eines zentralen Busteil* 
35 nehmers, 

Rg. 3 ein als Eingangsmodul ausgebildeter Bus- 
teilnehmer im Blockschaltbild. 

40 Fig. 4 ein als Ausgangsmodul ausgebildeter Bus- 
teilnehmer im Blockschaltbild. 

Ohne die Erfindung einschrdnken zu wdlen, wird in 
dem AusfOhrungsbeispiei ein serierelles Bussystem mit 
45 einem Obertragungsmedium beschreiben. das zwei 
gleiche Leitungsadern 10. 12 zur Bildung einer Daten- 
leitung umfasst (Arternativ kdnnte jede Leitungsader 
10. 12 eine Datenleitung 10', 12* sein). An den einen 
Enden der Leitungsadern 10, 12 Ist ein zentraler Bus- 
so teilnehmer 14 ais erster aktiver Busteilnehmer ange- 
schlossen. Der zentrale Busteilnehmer 14 wird im 
folgenden auch Bus-Master 14 genannt. da er zentrale 
Busvenwaltungsaufgaben ausfuhrt. An den anderen 
Enden der beiden Leitungsadern 10.12 ist ein zweiter 
55 aktiver Busteilnehmer 16 angeschlossen. der auch als 
Abschlussbusteilnehmer 16 oder Abschluss-Modul 16 
bezeichnet wird. Mit den Leitungsadern 10, 12 sind 
Bus-Teilnehmer vertsunden, von denen in der Zeich- 
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nung zwei Busteilnehmer 18. 20 dargesteOt sind. Die 
auch als Slaves bezeichneten Bus-Teilnehmer 18. 20 
kOnnen an beliebigen Stellen Idngs der Lertungsadern 
10. 12 angeordnet sein. die als Feld-Busse z.B. in einer 
technischen Aniage verlegt simj. Der Bus-Master 14 
der Abschluss-Busleilnehmer 16 und die Busteilnehmer 
18. 20 sind zweikanalig ausgebildet. d.h. e$ sind im 
Bus-Master 14 zwei vorzugsweise gleiche Einheiten AO. 
BO. im aktiven Busteilnehmer 16 zw© vorzugsweise 
gteiche Einheiten A^. B^ und In den anderen BusteU- 
nehmern 18. 20 jeweils zwei vorzugsweise gleiche Ein- 
heiten Al. Bl und A2. 82 vorhandea Auf den 
Leitungsadern 10. 12 werden insbesondere sicherheits- 
gerichtete Signale in digitaler Form uberlragen. Der 
Bus-Master 14 ist grundsStzlich das erste Gerat bzw. 
Modul am jeweiligen seriellen Bus und hat fur jede Lei- 
tungsader 10. 12 einen Busanschluss 22. 24. Deraktive 
Busteilnehmer 16 ist grundsStzlich das letzte Gerat am 
Bus und hat fur jede Datenleitung nur einen Busan- 
schluss 26. 28. Alle anderen Busteilnehmer 18 20 
haben fur jede Datenleitung jeweils einen Buseingang 
30. 32 bzw. 34. 36 und einen Busausgang 38. 40 bzw 
42. 44. Die Datenleitung bzw. die Datenleitungen 10\ 
12' sind in den Busteilnehmern 18. 20 physisch durch- 
geschleift. In der Zeichnung sind die durchgeschleiften 
Leitungsadern 10. 12 in bezug auf den Busteilnehmer 
18 (Slave 18) mit 46. 50 und in Bezug auf den Busteil- 
nehmer 20 (Slave 20) mit 52. 54 bezeichnet AuBerhalb 
der Busteilnehmer kann die Busleitung als koaxiale 
Oder verdrillte Leitungen verlegt sein. 

Die elektrischen Verbindungen 46. 50 und 52. 54 
sind in den Slave-Modulen 18. 20 vorzugsweise auf Lei- 
terplatten als geatzte. fiachige Leiterbahnen ausgebil- 
det und verlaufen zwischen den Buseingangen 30, 32 
und den Busausgangen 38. 40 bzw. zwischen den Bus- 
eingangen 34. 36 und den Busausgangen 42, 44. Auf 
den gleichen. nicht naher dargestellten Leiterplatten 
sind intelligente Bus-Controller-Bausteine 56. 58 bzw. 
60. 62 in den Einheiten Al. Bl. A2. B2 angeordnet. Die 
Bus-ControHer-Bausteine 56 bis 62 sind jeweils an die 
elektrischen Verbindungen 46. 50 bzw. 52. 54 unmittel- 
bar Qber Stichleiterbahnen bzw. Stichleitungen 64. 66 
68. 70 bzw 72. 74. 76. 78 aber unabhangig voneinan- 
der angeschlossen. Die beiden Bus-Controller-Bau- 
steme 56. 58 bzw. 60. 62 in jedem der Busteilnehmer 
18. 20 uben/vachen sich gegenseitig. Von den Einheiten 
Al. Bl. A2. B2 ...An. B^, gehen eiektrische Verbindun- 
gen zu Sensoren und/oder AWoren in der jeweiligen 
Maschine Oder Aniage aus. Diese an den jeweiligen 
Einheiten Al . Bl, A2. B2...fi^, insgesamt mit 80. 82. 
84. 86. 88 und 90 bezeichneten Verbindungen sind aus 
RedundanzgrOnden vorzugsweise jeweils zweikanalig 
zu den Sensoren bzw. Aktoren verlegt. Durch die 
Anordnung der Verbindungen 46. 50. 52. 54 und der 
Stichleitungen 64. 66. 68. 70. 72. 74. 76. 78 auf den Lei- 
terplatten der Busteilnehmer 18. 20 wird ausgeschlos- 
sen. dass beide Bus-ControIIer-Bausteine 58. 56 bzw, 
60. 62 im jeweiligen Busteilnehmer 18, 20 gleichzeitig 



elektrisch von der durchgeschleiften Datenleitung 
(Ubertragungsmedium) abgetrennt werden kOnnen Die 
Lerterbahnfuhrung ist deshalb auf der Leiterplatte des 
jeweiligen Busteilnehmers 18. 20 so ausgebifcfet dass 
5 auch bei einem eventuellen Durchbohren der Leiter- 
platte ein gleichzeitiges Durchtrennen der Stfchleiter- 
bahnen bzw. Stichleitungen 64. 66. 68. 70 bzw. 72. 74. 
76, 78 ausgeschlossen ist bzw. bei einem solchen Vor- 
gang auch die durchgeschleifte Datenleitung bzw. das 
10 Ubertragungsmedium zerstOrt wird, Auch im zweiten 
aktiven Busteilnehmer 16 sind in den Einheiten A^,, B^ 
Bus-Controller-Bausteine 92. 94 vorhanden. die sich 
gegenseitig ubenwachen und uber nicht naher bezeich- 
nete Stichleitungen, die den oben im Zusammenhang 
IS mrt den Busteilnehmern 1 8, 20 erw&hnten Bedingungen 
•gehorchen. jeweils mit den BusanschlQssen 26. 28 ver- 
bunden. Im zentralen BusteBnehmer 14 bzw. Bus- 
Master sind die beiden Einheiten AO. BO uber nicht 
naher bezeichnete Stichleitungen. die den oben im 
20 Zusammenhang mit den Leitungen der Busteilnehmer 
18. 20 enArahnten Bedingungen gehorchen. mit den 
BusanschlQssen 22, 24 verbunden. 

Die von den beiden gleichartigen Einheiten AO. BO 
erzeugten Ergebntsse bzw. Signale in bezug auf die 
25 BusObenwachung werden uber eine galvanisch 
getrennte Verbindung 96 wie Opto-Koppler der jeweils 
anderen Einheit zugefuhrt. indem die von den Einheiten 
AO und BO erzeugten Signale auf Gleichheit und Gleich- 
zeitigkeit ubenAracht werden. Der fehlersichere Verglei- 
30 Cher besteht aus den gleichartigen Einheiten AO. BO, 
der galvanisch getrennten Verbindung 96 wie Opto- 
Koppler und der Relais K1. K2 oder einer vergleichba- 
ren Schaltung und steuert eine nicht naher dargestellte 
Ausgangsebene. die in der Stromzuleitung des jeweili- 
35 gen Gerdts bzw, der Maschine Oder Aniage angeordnet 
sind und bei Ansteuerung durch den Vergleicher die 
Energiezufuhr unterbrechen.^ urn damrt das Gerat. die 
Maschine Oder technische Aniage in einen sicheren 
Zustand zu uberfuhren. Die Relais Oder Schutze haben 
40 zwangsgefuhrte Kontakte. eine Eigenschaft. bei der 
Kbntakte der beiden Relaiszustande. d.h. Arbeits- und 
Ruhekontakte. nicht gleichzeitig geOffnet bzw. 
geschlossen sein kOnnen. bzw. eine gleichwertige Aus- 
wertelektronik. 

<5 Der zentrale Busteilnehmer 14 (Bus-Master) und 
der aktive Busteilnehrner 16 senden und/oder empfan- 
gen mit einer hohen Obertragungsrate z.B. periodisch, 
StatusmeWungeh Qber die Datenleitungen 10. 12. Die 
Periode kann z.B. 10 ms betragen. Die Statusmeldun- 
so gen. die insbesondere Daten in digitaler Form sind 
gelangen zu den Busteilnehmern 18. 20 und werden 
von_dj^en auf Qeichheit bzw. Qbereinstimmung mit 
einer vorgegebenen Statusinfbrmation verglichen Wei- 
terhin QberprOfen vorzugsweise samtliche. insbeson- 
ss dere die Busteilnehmer 18. 20. 16. ob die 
StatusmeWungen innerhalb einer vorgebenen Fehlerto- 
leraruzeit Qbertragen bzw. empfangen werden. Wenn 
die Statusmeldungen nicht innerhalb der Fehlertole- 



9*S0OCia «eP_0e37394A2.|.> 



5 



9 EP 0 837 394 A2 10 



ranzzeit von z.B. 15 ms Oder wenn fehlerhafte Meldun- 
gen emplangen werden. muss von einer gestOrten 
Busleitung bzw. einem defekten Busteilnehmer ausge- 
gangen werden. Die Stdrung wird zumindest in einem 
der Busteilnehmer erkannt. Jeder der die Stdrung test- 
stedende Busteilnehmer wie Bus-Master 14. Abschluss- 
Modui 16 cxjer Busteilnehmer 18 Oder 20 kann bei 
einem festgestellten Fehler den Obergang des Systems 
bzw. des Gerats Oder der Aniage in einen sicheren 
Zustand veranlassen. Der sichere Zustand ist z.B. der 
Stiilstand des techntschen Systems, des Qerats. der 
Maschine Oder der Aniage bzw. die AuOerbetriebnahme 
durch Abschaltung der Betriebsenergie. d.h. es wird 
nach dam Fail -Safe- Prinzip verfahren. 

Allgemein ausgedruckt werden nach Feststellung 
einer StOrung in einem gefahrbringenden Bereich 
gefahrtringende Aktiviaten wie Bewegungen. Strahlun- 
gen etc. unverzQglich unterbunden. 

Die Fehlerreaktionszeit ist bei der oben beschriebe- 
nen Anordnung auch bei einer Periode von z.B. 10 ms 
der Statusmeldungen ausrelchend kurz. umdie Sicher- 
heitsanforderungen zu erfullen. Ein Fehler wird inner- 
halb der Erstfehlererkennungszeit von z.B. 15 ms vom 
zentralen Busteilnehmer erkannt. 

Die Statusmeldungen werden periodisch vom 
Abschluss-Modul 16 und/oder vom Bus-Master 14 aus- 
gesendet und von den verbleibenden Busteilnehmern 
20. 18. 14 bzw. 18. 20, 16 ausgewertet. Auf diese Weise 
werden Laufzeiten uber die doppelte Ldnge des jeweOi- 
gen Busses vermieden. Falls das Obertragungsmedium 
unterbrochen Oder kurzgeschlossen ist, werden Status- 
meldungen nicht von alien Busteilnehmern 14. 16, 18, 
20 empfangen. wodurch sofort ein Fehler erkennbar ist 
Zumindest einer der den Fehler feststellende Busteil- 
nehmer 14, 16, 18. 20 Idstdann die Stillsetzung des 
Bussystems und z. B. auch weiterer Verbraucher aus, 
die vom Bussystem gesteuert werden. 

In den Busteilnehmern 18. 20, die als Eingabe-. 
Ausgabemodule ausgebildet sind, und im aktiven Bus- 
teilnehmer 16 kontrollieren sich die intelligenten Bus- 
Controller-Bausteirie 58. 56. 60, 62 und 92. 94 gegen- 
seitig und erzeugen bei einem im jeweils anderen Bau- 
stein festgestellten Fehler sofort eine entsprechende 
Meldung, die auf die verbleibenden Busteilnehmer 
ubertragen wird. 

Das oben beschriebene Bussystem ist fur lange 
Busleitungen mit zahlreichen Busteilnehmern geetgnet 
Die Fehletreaktionszeit ist auch bei vielen Teilnehmern 
und langen Busleitungen kurz, so dass die Sicherheit- 
sanforderungen eingehalten werden. Der Bus-Master 
14 urKl/oder Abschluss-Modut 16 senden regelmdlSg 
Meldungen zur Leitungsprufung aus, die von den ubri- 
gen Busteilnehmern 16. 18, 20 empfangen werden. Die 
Periode dieser Signale ist z.B. 10 ms. 

Unabhangig davon besteht die M6glichkeit. dass 
der Bus-Master 14 regelmSfiige Signale aussendet, die 
von dem Abschiuss-Modul 16 enrtpfangen und zuruck- 
gesendet werden bzw. RQckmeldungen generiert wer- 



den. Die Funktion von Bus-Master 14 und Abschluss- 
Modul 16 kann dabei vertauscht werden. 

Mit den Bezugszeichen 10. 12 wurden oben jeweils 
die Leitungsadern einer Datenieitung eines Busses 

5 bezeichnet. Die obigen Uberlegungen gelten auch fur 
einen doppelt ausgelegten Bus. wobei unter 10\ 12' 
dessen beide Ubertragungsmedien zu verstehen sind. 
d.h. die Bezugszeichen 10', 12' bezeichnen bei einer 
Anordnung mit zwei Bussen jeweils einen Bus. Die 

10 Busse 10', 12' kOnnen jeweils zwei Leitungen aufwei- 
sen. In Fig. 1 wurde dieser Sachverhalt durch HinzufQ- 
gung der Bezugszeichen 10', 12' in Klammern zu den 
Bezugszeichen 10, 12 angedeutet. Die Busse 10'. 12' 
weisen je zwei Leitungsadern auf. Bei zwei Bussen 10'. 

15 12' ergeben sich im Vergleich zu der in Fig. 1 dargestell- 
ten Anordnung doppelt so viele BusanschlOsse. Busein- 
gange. Busausgdnge, Leiterbahnen zwischen 
Buseingangen und Busausgdngen, Stichleitungen und 
Leitungsadern zwischen den Teilnehmern. Es ist mdg- 

20 Gch, die Busse 10'. 12' zwischen den Teilnehmern auf 
verschiedenen Wegen zu verlegen, um zu verhindern, 
dass sich Beschadigungen. z. B. mechanischer Art, auf 
beide Busse zugleich auswirken. 

Das Bussystem kann insbesondere als Multi- 

25 Master- Bussystem ausgebildet sein und besteht in die- 
sem Fall aus zweikanaligen Teilnehmern. die an einen 
einkanaligen Bus angeschlossen sind. Durch den akti- 
ven Busteilnehmer am Ende des Busses kann der Feh- 
ler "Unterbrechung der Leitung, innerhalb eines 

30 Teilnehmers" mit nur zwei Busteilnehmern und daher 
sehr schnell festgestellt werden. 

Alle Busteilnehmer sind aktiv. d.h. sie senden selb- 
standig (Multi -Master-System). Es wird die Datenverar- 
beitung im Master ausgefuhrt. Alle Busteilnehmer 

35 senden selbstandig periodisch ihre Statusmeldungen. 
Ereignisse (z.B. Anderung von Eingangszustdnden) 
werden sofort ohne Zeitvertust ubertragen. 

Bedingt durch die Fehlertoteranzzeit (Erstfehlerein- 
trrttszeit) des Systems (es muss innerhalb von z.B. 20 

40 ms sicher abgeschaltet werden konnen) muss somit 
eine Busuntertrechung in dieser Zeit sicher erkannt 
werden. 

Wird der Bus als Strang ausgelegt. und nur noch 
das 1. Modul (Master = Auswerteeinheit mit Kundenpro- 

45 gramm) und das letzte Modul (Busabschluss) senden 
ihre Statusmeldungen alle 10 ms, die ubrigen Module 
alle 100 ms. mussen nur noch wenige Statusmeldun- 
gen pro Sekunde ubertragen werden. Der Bus ist somit 
frei fOr Ereignisse. 

50 Eine Busunterbrechung kann bei dem als Strang 
ausgelegten Bussystem von alien Teilnehmern an feh- 
lenden Statismeldungen des Masters bzw. des Busab- 
schlusses erkannt werden. 

Bei einem Defekt an einem Busteilnehmer mit lang- 

55 samen Statusmeldungen. muss von der Zweitfehlerein- 
trittszeit ausgegangen werden. da durch die 
konsequente Zweikanaligkeit ein Austalt eines Bauteils 
keinesfalls ein ganzes Modul funktionsunfahig werden 
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kann. 



Wahrend es nur einen ankanaligen Bus gibt ent- 
halt jedes Modul 2 Busknoten. Die Oaten auf den Bus- 
leitungen sind aquivalent Statusnteldungen werden in 
jedem Knoten generiert. Es wird bei InitiaJisierung des 
Systems in jedem Knoten ein Zahler gestartet. der nach 
jeder Mefdung inkrementiert wird. Zusatzlich wird noch 
ein Kontrollbyte Obertragea 

Die beiden Knoten eines Bus-Moduls QbenArachen 
unabhangig voneinander die StatusmeWungen die auf 
dem Bus Qbertragen werden. Zusatzlich ist eine gaiva- 
nisch getrennte Verbindung (Unk) zwischen den Knoten 
vomanden. Qber de Betriebs- bzw. FehJermeldungen 
ausgetauscht werden. 

Bei dem in Fig. 2 dargestelHen zentralen Busteil- 
nehmer 14 ist der Anschluss eines Buskabels 100 mrt 
den Leitungsadern 10. 12 dargestellt. Das Buskabel 
100 enthdit auch nicht naher bezeichnete Stromversor- 
gungsleitungen. Im zentralen Busteilnehmer 14 ist in 
zwei vorzugswiese gleichen Einherten AO. BO je eine 
CPU102vorhanden. ^ 

Die Fig. 3 zeigt einen als Eingangsmodul ausgebil- 
deten Busteilnehmer 18. der mit Wemmen. die nicht 
naher bezeichnet sind. an die Buskabel 104. 106 ange- 
schlossen sind. die jeweils die Leitungsadern 10. 12 
und Stromversorgungslertungen aufweisen. Das Ein- 
gangsmodul 18 weist Eingange 108. 110 usw. fOr 
Schalter auf. von denen in Rg. 3 ein ^tot-Ausschalter 
1 12 und em StartschaJter 1 14 dargestellt sind. Die Ein- 
gange 108. 110 usw. sind z.B. als Klemmen ausgebil- 
det, die uber galvanische Trennstrecken mit den 
Einheiten des Busteilnehmers 18 verbunden sind. 

Bei dem in Fig. 4 dargestellten Ausgangs- bzw, 
Ausgabemodul 20 sind wiedeaim Buskabel 104 106 
mit Datenleitungen 10. 12 und nicht naher bezeichneten 
Stromversorgungsleitungen an den Busteilnehmer 20 
angeschlossen. Es sind SchOlze Klo, K2o. K3o als 
Aktoren mit dem Busteilnehmer 20 vertunden. 

wahrend die Klemmen for Sensoren an den Ein- 
gangsmodulen nur einmal vorhanden und innerhaibder 
Module galvanisch getrennt aul die beiden Knoten auf- 
getem sind. sind die Ausgange z.B. 116. 118 fOr die 
Aktoren galvanisch getrennt. Kanal 1 NPN schaltend 
Kanal 2 PNP schaltend. auf zwei unterschiedliche 
Klemmen gelegt 

Die von einem Modul (bzw. einem Knoten des 
Moduls) erzeugten FehlermekJungen werden alien Teil- 
nehmern gleichzeitig mitgeteiH, Die Verarbeitung der 
FehlermekJungen wird in jedem Modul unabhangig vor- 
genommen. 

Bedingt durch die vorgeschriebene externe. als 
Strang verlegte. Busieitung und die vorgegebene innere 
Verdrahtung der Busieitung kann dahingehend ein Feh- 
lerausschluss gemacht werden. dass eine zerstOrte 
Busieitung nicht innerhalb der Fehlertoleranzzeit des 
Systems erkannt wird. 



Patentanspruche 



10 



15 



20 



25 



30 



35 2. 



40 



45 



SO 4. 



55 



1 . Bussystem umfessend einen ein Obertragungsme- 
dium (10. 12) aufweisenden seriellen Datenbus mit 
an einem Ende vorhandenen ersten aktiven Bus- 
teilnehmer (14) und am anderen Ende vorhande- 
nen zweiten aktiven Busteilnehmer (16) sowie von 
dem Obertragungsmedium physisch durchge- 
schJeifte weitere Busteilnehmer (18. 20), 

wobei zumindest der erste aWive Busteilneh- 
"ler (14) und/oder der zweite aktive Busteil- 
nehmer (16) jeweils eine Anordnung zum 
regelmaOigen Aussenden und/oder Enpfan- 
gen von StatusmeWungen aufweist, 

wobei zumindest von einem der Busteilnehmer 
(14. 16. 18, 20) die von einem anderen Busteil- 
nehmer (14. 16, 18, 20) ausgehenden Status- 
meWungen auf AusWeiben innerhalb einer 
vorgegebenen Zeitspanne oder auf Abwei- 
Chung von einer einem fehlerfreien Zustand 
des Bussystems zugeordneten Form QberprOft 
werden und 

wobei dann. wenn der Empfang der Statusmel- 
dungen innerhalb der vorgegebenen Zeit- 
spanne ausbleibt oder StatusmeWungen 
empfangen werden. die von einer einen fehler- 
freien Zustand des Bussystems zugeordneten 
Form abweichen. das Bussystem in einen 
Zustand versetzt wird, der ein vorgegebenes 
Sicherheitskriterium erfOllt 

Bussystem nach Anspruch 1, 
dadurch gekennzeichnet, 
dass der erste aktive Busteilnehmer (14) die Sta- 
tusmeWungen des zweiten aktiven BusteUnehmers 
(16) Qbenvacht oder umgekehrt. 

Bussystem nach Anspruch 1 oder 2, 
dadurch gekennzeichnet, 

dass die weiteren Bustalnehmer (18. 20) die von 
den anderen Busteilnehmern (14. 16. 18. 20) aus- 
gehenden StatusmeWungen oder StatusmeWun- 
gen. die von einer einen fehlerfreien Zustand des 
Ubertragungsmediums zugeordneten Form abwei- 
chen. uberwachen. 

Bussystem nach einem oder mehreren der vorher- 
gehenden AnsprOche, 
dadurch gekennzeichnet, 
dass das Obertragungsmedium zwei Leitungs- 
adern (10, 12) aufweist 

Bissystem nach einem oder mehreren der vorher- 
gehenden AnsprOche. 
dadurch gekennzeichnet, 
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dass zumindest einige der Busteilnehmer (14, 16. 
18. 20) zwei sich gegenseitig uberwachende Ein- 
heiten (A1. B1. A2. B2. A^, Bn) umfassen. 

6. Bussystem nach einem Oder mehreren der vaher- s 
gehenden Ansprtiche, 

dadurch gekennzeichnet, 
dass zumindest einige der Busteilnehmer (14, 16. 
18. 20) als Module mrt zwei sich gegenseitig Qber- 
wachenden Einheiten (A1.B1.A2, B2, A^, Bf^ aus- lo 
gebildet sind, die vorzugsweise an Sensoren 
und/oder AMoren angeschlossen sind. 

7. Bussystem nach einem Oder mehreren der vaher- 
gehenden Anspruche. is 
dadurch gekennzelchnet, 

dass die an den Enden einer Datenleitung vorhan- 
denen ersten und zweiten aktiven Busteilnehmer 
(14, 16) jeweils einen Datenleitungsanschiuss (22. 
24. 26. 28) und die weiteren Busteilnehmer (1 8, 20) 20 
jeweils einen Datenlettungseingang (30, 32; 34, 36) 
und einen Oatenieitungsausgang (38. 40; 42, 44) 
au^eisen und dass elektrische Verblndungen (46, 
50; 52, 54) der Datenleitung zwischen Eingang und 
Ausgang jeweils zumindest als eine elektrische 25 
Verbindung. vorzugsweise in Form einer auf einer 
Leiterplatte angeordneten Leiterbahn ausgebikiet 
sind. 

8. Bussystem nach einem Oder mehreren der vaher- 30 
gehenden AnsprOche, 

dadurch gekennzelchnet, 

dass in den Busteilnehmern (14. 16. 18, 20) jeweils 
zwei intelligerrte Bus-Controller- Bausteine (56, 58; 
60. 62; 92. 94) durch Stichleitungen (64. 66; 68. 70; 35 
72, 74; 76, 78) unabhangig voneinander mit den 
elektrischen Verblndungen (46. 50; 52. 54) der 
Datenleitung (10. 12) verbunden sind. 

9. Bussystem nach einem Oder mehreren der vaher- 40 
gehenden Anspruche. 

dadurch gekennzeichnet, 
dass die Stichleitungen (64, 66. 68, 70, 72, 74, 76, 
78) und die elektrischen Verblndungen (46, 50. 52, 
54) der Busse (10'. 12*) Oder des Busses (10. 12) 4$ 
derart in den Busteilnehmem (14. 16, 18, 20) ange- 
ordnet sind. dass bei Beschadigungen eine gleich- 
zeitige Unterbrechung bzw. gleichzeitiger 
Kurzschluss unterbleibt. 

so 

10. Bussystem nach einem oder mehreren der vaher- 

gehenden Anspruche. 

dadurch gekennzeichnet, 

dass im ersten aktiven Busteilnehmer (14) die bei- 

den vorzugsweise gleichen Einheiten (AO, BO) mit ss 

einer galvanisch getrennten Verbindung (96) wie 

Opto-Kbppler verbunden sind. die Ausgdnge zu 

einer Relaisebene oder zu einer dquivalenten 



sicheren Abschattebene aufweist 

11. Bussystem nach einem Oder mehreren der vorher- 
gehervJen Anspruche. 

dadurch gekennzeichnet, 
dass zwischen den beiden vorzugsweise gleichen 
Einheiten (A1 . B1 , A2, B2. 6^. AO. BO) eine gal- 
vanisch getrennte Verbindung zur Ubertragung von 
Betriebs- und FehlermeMungen vorgesehen ist. 

12. Bussystem nach einem oder mehreren der vorher- 
gehenden AnsprOche. 

dadurch gekennzeichnet, 
dass AnschlQsse fOr Sensoren an den Busteilneh- 
mem (14, 16, 18. 20) je Sensoranschluss einmal 
vorhanden sind und dass die Anschiusse unter gal- 
vanischer Trennung mit den beiden Einheiten der 
Busteilnehmer (18. 20) verbunden sind. 

13. Bussystem nach einem oder mehreren der vorher- 
geherxien Anspruche, 

dadurch gekennzeichnet, 

dass AusgSnge fur Aktoren galvanisch getrennt auf 
jewefls vorzugsweise zwei Klemmen gelegt sind. 

14. Verfahren zum Betreiben eines Bussystems umfas- 
send einen ein Ubertragungsmedium aufweisen- 
den seriellen Datenbus mit an einem Ende 
vorhandenen ersten aktiven Busteilnehmer und am 
anderen Ende vorhandenen zweiten aktiven Bus- 
teilnehmer sowie von dem Obertragungsmedium 
physisch durchgeschleifte weitere Busteilnehmer, 

wobei der erste und/oder zweite aktive Busteil- 
nehmer regelmSBig mit einer vorgegebenen 
hohen Taktrate Statusmeldungen auf den seri- 
ellen Bus aussendet und/oder empfangt und 

wobei dann. wenn der Emplang der Statusmel- 
dungen innerhalb einer vorgegebenen Zeit- 
spanne in zumindest einem der Busteilnehmer 
unterbleibt oder von zumindest einem der Bus- 
teilnehmer Statusmeldungen empfangen wer- 
den, die von einer einem fehlerfreien Zustand 
des Ubertragungsmediums zugeordneten 
Form abweichen, das Bussystem in einen 
einem Sicherheitskriterium zugeordneten 
Zustand versetzt wird. 

15. Verfahren nach Anspruch 14. 
dadurch gekennzeichnet, 

dass der die Statusmeldungen empfangende Bus- 
teilnehmer zumindest einer der aktiven Busteilneh- 
mer 'Bt 

16. Verfahren nach Anspruch 14. 
dadurch gekennzeichnet, 

dass die vorgegebene Zeitspanne 140ms oder 
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weniger betrflgt. vorzugsweise ^ 20nis. 



Bussystem in einen einem Sicherheitskriterium 
zugeordneten Zustand versetzt wird. 



17. Verfahren nach Anspruch U. 



dadurch gekennzelchnet, 
dass die Taktrate der Statusmefdungen des ersten s 
und/oder zweiten aktiven Bustalnehmers (14. 16) 
im Verhaitnis zu den Taktraten der weiteren Busteii- 
nehmer {18. 20) reaJtiv hoch ist. vorzugsweise im 
Verhaitnis 10:1 bis 20:1. 

10 

18. Vertahren nach Anspruch 14, 
dadurch gekennzelchnet, 

dass die vom ersten aktiven Busteilnehmer gesen- 
deten StatusmeWungen bam Empfang im zweiten 
aktiven Busteilnehmer von diesem auf den Bus i5 
zum ersten aktiven Busteilnehmer zurOckubertra- 
gen werden und umgekehrt 

19. Verfehren nach Anspruch 14, 
dadurch gekennzelchnet, 

dass die vom ersten und/oder zweften aktiven Bus- 
teilnehmer ausgesendeten StatusmeWungen von 
jedem Busteilnehmer Obenvacht werden und dass 
bei Ausbleiben einer StatusmeWung innerhalb der 
vorgegebenen Zeitspanne Oder Abweichung von 2S 
einer einem fehlerfreien Zustand des Bussystems 
zugeordneten Form uberprOft werden urxi wobei 
dann. wenn der Empfang der Statusmeldungen 
innerhalb einer vorgegebenen Zeitspanne in 
zumindest einem der Busteilnehmer unterbleibt so 
Oder von zumindest einem der Busteilnehmer Sta- 
tusmeldungen empfangen werden. die von einer 
einem fehlerfreien Zustand des Qbertragungsmedi- 
ums zugeordneten Form abweichen. das Bussy- 
stem in einen einem Sicherheitskriterium zuge- 3S 
ondneten Zustand versetzt wird. 

:0. Verfahren zur Obenvachung eines Qbertragungs- 
mediums eines serieilen Bussystems mit an einem 
Ende vorhandenen ersten aktiven Busteilnehmer 4o 
und am anderen Ende vorhandenen zweiten akti- 
ven Busteilnehmer sowie von dem Uberlragungs- 
medium physisch durchgeschleifte weitere 
Busteilnehmer, 

45 

wobei der erste und/oder zweite aktive Busteil- 
nehmer regelmasig mit einer vorgegebenen 
hohen Taktrate StatusmeWungen auf den seri- 
eilen Bus aussendet und/oder empfftngt und 

so 

wobei dann. wenn der Empfang der Statusmel- 
dungen innerhalb einer vorgegebenen Zeit- 
spanne in zumindest einem der aktiven 
Busteilnehmer unterbleibt Oder von zumindest 
einem der aktiven Busteilnehmer Statusmel- 5S 
dungen empfangen werden. die von einer 
einem fehlerfreien Zustand des Obertragungs- 
mediums zugeordneten Form abweichen. das 
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